Malformer: A Multi-Modal Malware Detector Using Transformers
L'article présente Malformer, un détecteur basé sur un transformeur quadrimodal qui fusionne les représentations textuelles, visuelles, graphiques et audio des exécutables Windows pour atteindre une précision de 98,3 %, surpassant de manière significative les systèmes de détection de malwares unimodaux et bimodaux traditionnels.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Dans le monde numérique, les équipes de sécurité font face à une bataille constante et changeante contre les logiciels malveillants. Pendant des décennies, la principale défense a consisté à rechercher des empreintes connues : des motifs spécifiques de code ou des signatures numériques uniques qui identifient un virus. Cette approche fonctionne bien contre les anciennes menaces, mais elle échoue lorsque les attaquants créent de nouveaux programmes inédits ou modifient légèrement des programmes existants pour masquer leurs traces. Pour rester en tête, les chercheurs se sont tournés vers l'apprentissage automatique, apprenant aux ordinateurs à reconnaître les structures subtiles et sous-jacentes des logiciels malveillants plutôt que de simplement faire correspondre des modèles connus. Les premières tentatives consistaient à apprendre aux ordinateurs à lire le code brut ou à considérer le fichier comme une simple image, mais chaque méthode présentait des angles morts. Une seule façon de regarder un fichier peut manquer des indices critiques, tout comme essayer d'identifier une personne en ne voyant que son ombre ou en n'entendant que sa voix.
Une équipe de chercheurs de la Tennessee Tech University, de l'University of Nebraska at Omaha et de la North Carolina A&T State University a développé un nouveau système appelé Malformer pour surmonter ces limitations. Au lieu de s'appuyer sur une seule vue d'un fichier informatique, leur système examine le même fichier de quatre manières complètement différentes à la fois. Ils traitent le fichier comme un document textuel, une image, une carte de connexions et une onde sonore. En combinant ces quatre perspectives, le système construit une compréhension beaucoup plus riche de ce que le fichier tente de faire. Les chercheurs ont testé cette approche sur une collection massive de plus de 200 000 fichiers informatiques et ont découvert qu'en observant le problème à travers ces quatre lentilles simultanément, le système parvenait à détecter les menaces avec une précision nettement supérieure aux méthodes utilisant une ou deux vues seulement.
L'idée centrale derrière Malformer est que différentes façons de représenter un fichier révèlent différents types d'informations. Lorsqu'un fichier informatique est converti en texte, il montre les instructions spécifiques que le programme donne au processeur. Lorsque ce même fichier est transformé en image, il révèle des motifs dans l'agencement de ses données, de la même manière qu'une empreinte digitale montre des crêtes et des vallées. Lorsqu'il est converti en graphe, il cartographie la façon dont les différentes parties du programme communiquent entre elles, montrant le flux de contrôle. Enfin, lorsqu'il est traité comme un signal audio, la séquence d'octets du fichier crée une onde sonore qui porte des motifs rythmiques. Les chercheurs ont découvert que le fait de s'appuyer sur une seule de ces vues laisse souvent des lacunes. Par exemple, si un attaquant obscurcit le code textuel pour le cacher, la vue image ou la vue sonore peut encore révéler la structure malveillante. En fusionnant ces quatre vues, le système crée un filet de sécurité où une vue peut compenser les faiblesses d'une autre.
Pour construire ce système, les chercheurs ont utilisé des outils avancés appelés "transformers", qui sont des modèles informatiques puissants capables de comprendre des relations complexes dans les données. Ils ont adapté ces modèles pour qu'ils puissent gérer les quatre types de données différents. Pour le texte et la carte de connexions, ils ont utilisé des modèles conçus pour comprendre le langage et les séquences. Pour l'image, ils ont utilisé un modèle qui analyse habituellement des photographies, mais l'ont modifié pour qu'il puisse percevoir les motifs d'octets d'un fichier. Pour le son, ils ont utilisé un modèle entraîné sur la parole humaine pour écouter le rythme des données du fichier. Le défi ne consistait pas seulement à créer ces quatre vues distinctes, mais aussi à apprendre au système comment les pondérer les unes par rapport aux autres. Les chercheurs ont développé une méthode qui ajuste automatiquement l'attention que le système porte à chaque vue pendant l'entraînement. Si une vue apprend plus rapidement que les autres, le système réduit temporairement son influence pour garantir que les vues plus lentes rattrapent leur retard, empêchant ainsi l'ensemble du système de devenir biaisé en faveur d'un seul type d'information.
Les résultats de cette approche ont été frappants. Testé sur un ensemble de données de 201 549 fichiers, le système Malformer a correctement identifié les logiciels malveillants 98,3 % du temps. Cette performance était notablement meilleure que celle des systèmes qui ne regardaient qu'un seul type de données ou même de ceux qui en combinaient seulement deux. Les chercheurs ont constaté que la combinaison de ces quatre vues offrait un niveau de détail qu'aucune vue unique ne pouvait atteindre seule. Plus important encore, le système a prouvé sa résilience. Dans des scénarios réels, certaines parties d'un fichier peuvent être endommagées ou impossibles à lire, provoquant l'échec d'une des quatre vues. Les chercheurs ont testé ce qui se passerait si l'on supprimait la vue textuelle ou la vue de la carte de connexions, et le système a continué à très bien fonctionner, ne perdant que légèrement en précision. Cela suggère que le système ne repose pas sur un point de défaillance unique, mais plutôt sur la force collective des quatre perspectives.
L'étude a également mis en évidence la valeur unique de chaque perspective. Bien que la vue image soit la plus cohérente et la plus fiable, la vue de la carte de connexions fournissait le signal individuel le plus fort lorsqu'elle était disponible. La vue textuelle, qui représente le code assembleur, s'est révélée particulièrement utile lorsque la carte de connexions ne parvenait pas à être extraite correctement. La vue sonore, une approche moins courante dans ce domaine, s'est également montrée efficace, capturant des motifs que les autres vues avaient manqués. En réunissant ces méthodes diverses, les chercheurs ont créé un détecteur qui est non seulement plus précis, mais aussi plus robuste face aux ruses utilisées par les attaquants pour masquer leur travail. Ces travaux suggèrent que l'avenir de la détection de logiciels malveillants ne réside pas dans la recherche d'une méthode parfaite pour analyser un fichier, mais dans l'intégration de multiples manières complémentaires de voir une même menace. Alors que les attaquants continuent de faire évoluer leurs méthodes, disposer d'un système capable d'observer un problème sous quatre angles différents simultanément offre une défense puissante et généralisée pour l'infrastructure numérique sur laquelle nous comptons chaque jour.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.